Det er en international standard for mobile kørekort, der definerer, hvordan en telefon fremviser identitetsdata til en verifikator såsom en politibetjent, forhandler eller lufthavnskontrol.

Hvorfor betyder fristen noget for borgerne?

De næste flere måneder er, hvor reglerne mest sandsynligt kan formes, da statslige lovgivere, køretøjsmyndigheder og guvernørkontorer stadig kan beslutte, hvilke data et digitalt ID-system må logge, hvor længe det opbevarer dem, og hvem der må tilgå dem.

Hvad siger rapporten, at eksperter mener om standarden?

Kilden siger, at eksperter citeret i dækningen mener, at ISO 18013-5 bevarer statens sporingsmuligheder.

Hvorfor er det svært at ændre privatlivsindstillinger for digital ID, efter et system er i drift?

Når et system først er i drift, betyder ændring af disse indstillinger normalt, at dele af det skal genopbygges, fordi tekniske standarder har en tendens til at stivne, når de er bredt udrullet.

Utah-konsortium fastsætter frist i januar 2027 for digital ID-privatliv

Et Utah-ledet guvernørkonsortium giver ti stater indtil januar 2027 til at vedtage privatlivsførste regler for digital ID. Målet er ifølge rapporten at handle, før ISO 18013-5-standarden for mobil ID spredes yderligere uden tilsyn. Eksperter citeret i dækningen siger, at standarden bevarer statens sporingsmuligheder. For borgerne handler debatten om ét spørgsmål: sporing af digitale ID-legitimationer og privatliv, og hvorvidt de, der udsteder dit mobile ID, kan se, hvor og hvornår du bruger det.

En note om kilder: kildeartiklen er kort, og den tekst, vi har adgang til, er afkortet. Den nævner et konsortium, en gruppe på ti stater, en frist i januar 2027 og ISO 18013-5-standarden. Den nævner også en person ved navn Bramwell, men den tilgængelige tekst fuldfører ikke den reference. Dette indlæg holder sig til disse punkter og forklarer teknologien i generelle vendinger. Det hævder ikke detaljer om konsortiets rammeværk, som kilden ikke bekræfter.

Hvad fristen i januar 2027 betyder for borgerne

Ifølge rapporten har ti stater indtil januar 2027 til at vedtage privatlivsførste regler for digital ID. Logikken bag en frist er, at tekniske standarder har en tendens til at stivne, når de først er bredt udrullet. Hvis mobile ID'er rulles ud i flere stater under en standard, der tillader sporing, og der ikke findes tilsynsregler, bliver disse designvalg svære at rulle tilbage.

For borgerne er den praktiske effekt, at de næste flere måneder er, hvor reglerne mest sandsynligt kan formes. Statslige lovgivere, køretøjsmyndigheder og guvernørkontorer kan stadig beslutte, hvilke data et digitalt ID-system må logge, hvor længe det må opbevare disse data, og hvem der må tilgå dem. Når et system først er i drift, betyder ændring af disse indstillinger normalt, at dele af det skal genopbygges.

Hvordan sporing af legitimation fungerer i ISO 18013-5 mobile ID'er

ISO 18013-5 er en international standard for mobile kørekort. Den definerer, hvordan en telefon kan fremvise identitetsdata til en verifikator, såsom en politibetjent, en forhandler eller en lufthavnskontrol. Kilden siger, at eksperter mener, at standarden bevarer statens sporingsmuligheder. Den artikeltekst, vi har, redegør ikke for mekanismen, så her er den generelle bekymring i klare vendinger.

Sporingsrisiko i ethvert digitalt legitimeringssystem kommer normalt fra et par steder:

Verifikationslogfiler. Hvis en verifikators app eller en back-end-tjeneste registrerer hver gang en legitimation kontrolleres, kan disse registreringer opbygge en historik over, hvor du har fremvist dit ID.
Kontakt med udstederen. Hvis en kontrol kræver, at systemet kontakter den statslige udsteder, kan udstederen få kendskab til, hvornår og hvor legitimationen blev brugt.
Opbevaring. Selv beskedne logfiler bliver følsomme, når de opbevares i lang tid eller kombineres med andre databaser.

Hvorvidt en specifik statslig udrulning gør noget af dette, afhænger af, hvordan den er konfigureret, hvilket netop er grunden til, at tilsynsregler betyder noget. En standard kan tillade privatlivsbeskyttende brug og stadig tillade sporing. Reglerne omkring den afgør, hvilken af delene borgerne får.

Virkelige udrulninger viser, hvorfor dette betyder noget. Vores dækning af Indonesiens IKD digitale ID, der passerer 20,5 millioner brugere, ser på de privatlivsrisici, der opstår, når en national digital identitet skaleres hurtigt.

Privatlivsførste alternativer: Selektiv videregivelse og zero-knowledge-beviser

Privatlivsførst design af digital ID bygger generelt på to idéer.

Selektiv videregivelse lader dig dele kun den attribut, en verifikator har brug for. En bar skal vide, at du er over 21, ikke din adresse eller fulde fødselsdato. En veldesignet legitimation kan afsløre netop det ene faktum.

Zero-knowledge-beviser går et skridt videre. De lader dig bevise, at et udsagn er sandt, såsom "jeg er over 18", uden at afsløre de underliggende data overhovedet, og uden at give verifikatoren noget, der kan kobles tilbage til dig på tværs af besøg.

Disse teknikker reducerer, hvad verifikatorer lærer, men de stopper ikke automatisk sporing. Logning hos verifikatoren, kontakt med udstederen og lange opbevaringsperioder kan undergrave dem. Privatlivsførste regler skal derfor dække både kryptografien og de omkringliggende datapraksisser.

Den samme spænding optræder i online alderskontrol. En rundbordsdiskussion af SFLC.in om privatlivsrisici ved aldersverifikation viser, hvordan verifikationssystemer kan indsamle mere, end de har brug for.

Rettigheder du bør kigge efter i din stats regler for digital ID

Kilden oplister ikke konsortiets specifikke krav, så betragt dette som en tjekliste for læsere snarere end en beskrivelse af dets rammeværk. Når din stat debatterer eller lancerer et mobilt ID, så kig efter:

Et forbud mod sporingsbrug. Regler, der forbyder udstederen at logge, hvor og hvornår du fremviser din legitimation.
Dataminimering. Verifikatorer bør kun anmode om de attributter, de har brug for, og systemet bør understøtte selektiv videregivelse.
Korte, definerede opbevaringsgrænser. Eventuelle logfiler, der findes, bør slettes efter en fast tidsplan.
Uafhængigt tilsyn. En revisionsproces eller regulator, der kan kontrollere, om systemet opfører sig som lovet.
Frivillig brug. En fysisk ID-mulighed, der forbliver fuldt gyldig, så ingen tvinges over i den digitale version.
Begrænsninger på sekundær brug. Restriktioner på deling af data med andre myndigheder eller kommercielle parter.

Hvad dette betyder for dig

Hvis du bor i en af de ti stater, er de næste par måneder, hvor offentligt input betyder mest. Hvis du bor andre steder, gælder de samme spørgsmål, efterhånden som mobile ID'er udvides. Du behøver ikke undgå digital ID helt. Målet er at vide, hvordan din stats version håndterer logning og opbevaring, før du stoler på den.

I mellemtiden kan du beholde et fysisk ID til situationer, hvor du helst ikke vil generere en digital registrering, og du kan spørge din køretøjsmyndighed, hvad den opbevarer, når et mobilt ID verificeres.

Centrale pointer

Tjek din stats program. Se din køretøjsmyndigheds offentliggjorte privatlivspolitik for dets mobile ID, og se, om den behandler logning og opbevaring.
Spørg direkte om sporing. Kontakt din statslige repræsentant eller myndighed, og spørg, om fremvisning af din legitimation kan registreres eller spores tilbage til dig.
Støt privatlivsførste regler. Afgiv høringssvar om foreslåede regler eller lovgivning, der begrænser sporing og kræver selektiv videregivelse.
Hold mulighederne åbne. Behold et fysisk ID, hvor det er muligt.
Lær af andre udrulninger. Artiklerne om Indonesiens IKD og SFLC.in's alderskontrol, der er linket ovenfor, viser, hvordan digitale ID- og verifikationssystemer kan skabe privatlivsrisici, når sikkerhedsforanstaltninger halter bagefter udrulningen.

Sporing af digitale ID-legitimationer og privatliv vil blive afgjort i de regler, der skrives nu, så det er værd at finde ud af, hvad din stat planlægger.